FR 2706153 A1 19941216 FR 9306864 A 19930607 -1 î -2706153 DISPOSITIF DE PILOTAGE AUTOMATIOUE POUR AÉRODYNES. La présente invention concerne un dispositif de pilotage automatique d'un aérodyne tel que, par exemple, un hélico- ptère. De tels dispositifs ont généralement pour but de décharger le pilote d'un certain nombre de tâches en améliorant les caractéristiques de vol de l'aérodyne qui est généralement instable, et en assurant certaine tâches de pilotage comme le maintien de l'aérodyne dans une certaine trajectoire choisie par le pilote. Généralement, les dispositifs de pilotage automatique ont pour but d'améliorer la stabilité de l'appareil en pilotage manuel, et d'offrir au pilote une impression de plus grande stabilité et d'homogénéité concernant les caractéristiques des effets des différentes gouvernes. Jusqu'à présent, ces dispositifs effectuaient, pour chacun des trois axes de pilotage, tangage, roulis et lacet, un calcul analogique permettant de commander le jeu d'action- neurs qui agissent sur les gouvernes en fonction des - 2 - 2706153 commandes du pilote et des informations fournies par des capteurs. Généralement, les actionneurs d'un axe de pilotage compren- nent un vérin série d'autorité faible dont le mouvement est très rapide, et un vérin de "trim" possédant pleine auto- rité, dont le mouvement est plus lent, destiné à recentrer la position du vérin série. Lorsqu'une panne sur un axe de pilotage entraine une évolu- tion rapide et importante de l'hélicoptère, ou bien lorsque la mission qui lui est destinée requiert une grande atten- tion de l'équipage, on utilise un système redondant pour atteindre le niveau de sécurité requis. Pour cela, on double la chaîne de calcul de chaque axe de pilotage et on installe deux actionneurs en série sur la timonerie de chaque gouverne. De cette manière, si l'une des deux chaînes de commande d'un axe de pilotage tombe en panne, l'autre contre et si la chaîne de commande défaillante est mise hors service, la mission peut être poursuivie. Cette dernière solution présente les inconvénients d'aug- menter l'encombrement du dispositif de pilotage automatique et de multiplier son coût. Par ailleurs, dans un dispositif mettant en oeuvre un calculateur numérique assurant le pilotage suivant plusieurs axes de commande, en cas de panne de celui-ci, le dispositif de pilotage automatique n'est plus opérationnel pour aucun des axes de pilotage. Cette solution n'est pas donc pas acceptable dans le cadre de certaines missions et pour certains type d'hélicoptères. Pour résoudre ce problème, on peut disposer un deuxième calculateur en parallèle avec le premier. De cette manière, si l'un des deux calculateurs tombe en panne, l'autre poursuit le pilotage automatique. _ 3 - 2706153 Si les contraintes de sécurité requises imposent que l'appareil soit équipé d'un dispositif de pilotage automa- tique capable de se reconfigurer automatiquement, il est possible d'utiliser trois calculateurs fonctionnant en parallèle de manière à pouvoir déterminer le calculateur défaillant et à assurer en toute circonstance les fonctions de pilotage automatique. Ces solutions présentent donc également l'inconvénient de multiplier le coût d'un tel dispositif. La présente invention a plus particulièrement pour but de supprimer ces inconvénients en proposant un dispositif de pilotage automatique d'un aérodyne offrant une fiabilité suffisante dans la plupart des cas pour un coût notablement plus réduit. Ce dispositif fait intervenir un calculateur numérique recevant des informations émanant d'un ensemble de capteurs et assurant la commande d'actionneurs agissant sur les gouvernes. Ce dispositif est caractérisé en ce que le calculateur comprend des moyens autonomes pour surveiller le bon fonctionnement du dispositif, pour le déconnecter et recen- trer les actionneurs, à la suite d'une détection d'anoma- lie. Grâce à la rapidité de réaction des systèmes numériques, les actionneurs, et en particulier les vérins série, peuvent ainsi être recentrés rapidement à la suite d'une détection de défaillance. Cette solution permet donc de réduire l'effet d'une panne et de permettre de ce fait de satisfaire aux critères de sécurité. Selon une particularité de l'invention, le calculateur comprend au moins un module de calcul autonome disposant de ressources matérielles et logicielles comprenant des moyens pour assurer le pilotage selon l'un des trois axes de pilo- tage, et des moyens pour surveiller le bon fonctionnement du dispositif, pour déconnecter ce dernier et recentrer les actionneurs, à la suite d'une détection d'anomalie. - 4 - 2706153 Selon une autre particularité de l'invention, le calcula- teur comprend au moins deux modules de calcul autonomes disposant de ressources matérielles et logicielles pour assurer le pilotage selon respectivement deux axes quelconques des trois axes de pilotage, l'un au moins des deux modules comprenant des moyens pour surveiller le pilo- tage effectué par l'autre module, pour le déconnecter et recentrer les actionneurs qu'il commande, à la suite d'une détection d'anomalie. Pour cela, chaque module de calcul intègre les fonctions spécifiques à chaque axe de pilotage, et dispose de moyens de reconnaissance des axes de pilotage selon lesquels il doit assurer le pilotage et la surveil- lance. Les systèmes numériques tendant à la centralisation des fonctions de calcul, cette solution qui consiste à mettre en oeuvre un module de calcul par axe de pilotage, est contraire aux préjugés de l'homme de l'art. En outre, si l'on souhaitait appliquer les méthodes de redondance clas- siques, on aboutirait à une multiplicité de calculateurs de forte puissance, et donc, à des coûts trop élevés. Les raisons pour lesquelles ces préjugés peuvent être surmontés tiennent au fait que l'inconvénient d'utiliser un calculateur par axe de pilotage, et donc de puissance plus réduite, est très largement compensé par les avantages relatifs à la flexibilité d'emploi et à la maintenance. En outre, cette approche modulaire permet de proposer une configuration adaptée à chaque type d'hélicoptère et à chaque type de certification, la configuration minimale ne comportant qu'un seul module de calcul qui assure donc la commande et la surveillance d'un seul axe de pilotage. Par ailleurs, les moyens de surveillance appliquent les mêmes lois de pilotage que celles utilisées pour le pilo- tage selon l'axe surveillé. Les ressources matérielles et _ 5 _ 2706153 logicielles supplémentaires pour réaliser ces moyens sont donc minimes. Avantageusement, pour pouvoir commander simultanément les trois axes de pilotage, ce dispositif est capable de rece- voir trois modules de calcul identiques, chaque module étant capable de surveiller son fonctionnement ou celui d'un autre module du dispositif. Selon une particularité de l'invention, chaque module de calcul intègre sur une seule carte, la connectique qui lui permet de s'interfacer directement avec les capteurs et les actionneurs, aucune interconnexion entre modules n'étant prévue à l'intérieur du boîtier réunissant les modules. Ainsi, chaque module intègre un circuit de puissance lui permettant de commander directement les actionneurs. Grâce à cette configuration, le test et la maintenance du calculateur se limitent au test et à la maintenance d'un seul module de calcul. Selon une autre particularité de l'invention, les moyens pour se rendre spécifique d'un axe de pilotage sont situés au niveau du connecteur extérieur de chaque module de calcul. Ainsi, la simple connexion du module lui permet de s'auto-configurer en fonction de l'axe de pilotage corres- pondant aux actionneurs et aux capteurs auxquels il est connecté. Toutes ces dispositions permettent d'obtenir un dispositif de pilotage automatique simplifié du point de vue matériel, et donc de coûts de fabrication et de maintenance notable- ment plus réduits que les systèmes déjà proposés. Un mode de réalisation du dispositif selon l'invention sera décrit ciaprès, à titre d'exemple non limitatif, avec référence aux dessins annexés dans lesquels: - 6 - 2706153 la figure 1 représente schématiquement le dispo- sitif de pilotage automatique au sein d'une chaîne de pilotage selon un axe de pilotage d'hélicoptère; la figure 2 représente schématiquement l'archi- tecture matérielle du calculateur connecté aux actionneurs et à l'ensemble de capteurs; la figure 3 représente schématiquement l'archi- tecture matérielle d'un module du calculateur; les figures 4 à 6 représentent schématiquement les différentes parties du circuit de commande de puissance des actionneurs. les figures 7 à 10 montrent différentes configu- rations possibles du dispositif; La figure 1 représente les différents éléments de pilotage selon l'un des axes de tangage ou de roulis. Ces éléments comprennent un manche à balais 7 actionné par le pilote, et qui traverse le plancher 15 du poste de pilotage pour pivo- ter autour d'un axe 12. L'extrémité opposée au manche 7 se prolonge pour former un levier sur lequel agissent d'une part, un dispositif 9 destiné à appliquer sur le manche une force résistante obéissant à une loi d'effort prédéter- minée, et d'autre part, un vérin série 2. Ce dispositif 9 comporte un point d'appui fixé à un levier 13 actionné par un moteur 3, appelé vérin de "trim" et fixé au plancher 15. L'autre extrémité du vérin série 2 actionne un autre levier 14 qui pivote autour d'un axe solidaire du plancher 15. Ce levier 14 permet d'actionner le système hydraulique 11 qui agit directement sur les gouvernes de l'hélicoptère. Dans cette structure, le vérin de "trim" 3 est destiné à recentrer lentement en décalant toute la timonerie, la - 7 -2706153 -- 7 -- position du vérin série 2 dont le mouvement est très rapide afin de le ramener dans sa position neutre et de lui resti- tuer toute son autorité de pilotage. Sur la figure 2, le calculateur 1 comprend un module 10 qui échange des informations avec un ensemble 4 représentant les capteurs, le poste de commande de l'hélicoptère et éventuellement un équipement de test. Il est conçu pour recevoir deux autres modules 10 (représentés en traits interrompus) identiques au premier, permettant de contrôler les deux autres axes de pilotage de l'hélicoptère. Le module 10 permet de commander directement les vérins série 2 et de "trim" 3 d'un axe de pilotage, en fonction des informations en provenance de l'ensemble 4. Pour cela il possède un connecteur mâle 5 dans lequel vient s'engager un connecteur femelle 6 rassemblant toutes les extrémités des liaisons électriques provenant des capteurs, des actionneurs et du poste de pilotage. Cette figure montre la configuration minimale offerte par le dispositif de pilotage automatique. Selon cette configuration, le calculateur 1 comprend un seul module 10 dédié au contrôle du pilotage, par exemple, suivant l'axe de lacet. Cette configuration permet notamment de réaliser un amor- tisseur de lacet ou une tenue automatique de cap en fonction des informations issues des capteurs disponibles et connectés. Sur la figure 3, chaque module de calcul 10 comprend: - un coeur numérique 20 mettant en oeuvre notamment un microprocesseur et des mémoires permettant de stocker un programme et des données; - 8 - 2706153 - un circuit 23 de gestion des entrées et sorties de données, qu'elles soient numériques ou analogiques en provenance ou à destination des autres modules 10 du calculateur 1 et des autres équipements de l'hélico- ptère; - un circuit de commande de puissance 24 des actionneurs d'un axe de pilotage qui reçoit du coeur numérique 20 les consignes de commande analogique à appliquer sur les actionneurs de l'axe de pilotage; - un circuit d'alimentation 21 permettant d'alimenter en courant continu les différents circuits du module 10; - un circuit de filtrage et de protection 22 contre les effets de la foudre et des rayonnements électromagnéti- ques qui protège toutes les entrées et sorties du module ; et - un connecteur multi-points femelle 5 qui coopère avec un connecteur mâle 6 rassemblant toutes les liaisons élec- triques avec les capteurs 4, les actionneurs 2,3, et le poste de pilotage. Le circuit de gestion des entrées et sorties 24 peut rece- voir notamment des données en provenance des autres équi- pements de l'hélicoptère, comme par exemple, de la centrale de verticale, des altimètres, des systèmes de navigation par suivi de balises de radionavigation, ou de mesure de la vitesse par rapport à l'air. Ces informations pourront être exploitées par le coeur numérique 20 pour exécuter des fonctions de plus haut niveau, comme par exemple des fonc- tions de navigation. Le coeur numérique 20 communique directement avec le poste de pilotage et les équipements de test par une liaison série. Il dispose de toutes les ressources matérielles et logicielles pour assurer les fonctions suivantes: _ 9 _ 2706153 - l'initialisation du module et du programme, - l'ordonnancement temps réel et gestion des interruptions, - la gestion des ports d'entrée/sortie, de la mémoire, et du chargement du programme, - le calcul de la consigne de pilotage à appliquer sur les actionneurs auxquels il est connecté, à l'aide des lois de pilotage de l'axe considéré, - la gestion de l'activation du module 10 en fonction de l'état des autres modules 10 présents dans le calculateur 1, - la surveillance des autres modules 10 du calculateur 1, et de leur inhibition en cas de défaillance, - la maintenance du système et la gestion des tests à effectuer avant et pendant chaque vol, et - la gestion des liaisons séries qui lui permettent de communiquer avec les équipements de test et le poste de pilotage. La fonction de calcul des consignes comprend également des fonctions de pilotage de haut niveau, comme par exemple, des fonctions de navigation. Comme les lois de pilotage à mettre en oeuvre sont diffé- rentes suivant les axes de pilotage, les fonctions de calcul des consignes, de surveillance et de test incluent des fonctions spécifiques à chaque axe de pilotage. Pour déterminer quelles sont les lois à appliquer, chaque module reconnaît l'axe de pilotage qu'il doit traiter et celui qu'il doit surveiller d'après le mode de connexion du connecteur extérieur 6 engagé dans son connecteur 5. De cette manière, aucune manipulation particulière n'est requise pour indiquer à chaque module 10, quel axe de pilo- tage il doit contrôler. A cet effet, ce connecteur 6 comprend un ensemble de points de connexion libres qui sont utilisés pour permettre à chaque module de calcul 10 de reconnaître le ou les axes de - 10 - 2706153 pilotage auxquels il est connecté, de manière à pouvoir s'autoconfigurer. Le coeur numérique de chaque module 10 dispose en outre d'une fonction d'auto-configuration qui se déclenche lors de la mise sous tension du module 10 pour tester les interconnexions qui sont réalisées entre les points de cet ensemble au niveau du connecteur femelle 6, chaque axe de pilotage correspondant à un schéma spécifique d'interconnexions. Afin de garantir que deux modules ne puissent pas être affectés au même axe, la fonction d'auto-configuration établit un dialogue entre les modules 2a,2b du calculateur 1 au cours duquel chacun émet un code d'identification de l'axe auquel il est connecté et vérifie qu'aucun autre n'a émis le même code. Le circuit représenté sur la figure 4 fait partie du circuit de commande de puissance 24, et permet de commander le moteur du vérin série 2, à partir des consignes élabo- rées par le coeur numérique (20) et transformées en valeurs analogiques par le circuit de gestion 23 des entrées/sorties. Ce circuit reçoit également en entrée, la valeur de la position du vérin série 2, qui passe préalablement par un circuit d'adaptation 42. La consigne analogique et la valeur de la position du vérin sont tout d'abord additionnées par un sommateur 41 dont la valeur résultante attaque un générateur d'impulsions 43. La sortie du générateur d'impulsions 43 traverse un circuit d'adaptation 44, puis d'isolation galvanique 45, avant d'être traitée par un amplificateur de puissance à pont en H 46. La valeur amplifiée est ensuite envoyée, au travers d'un relais 49 et d'un filtre en L 50 au moteur du vérin série 2. L'amplificateur de puissance 46 est par ailleurs mis sous une tension de 28 volts 54 par l'intermédiaire d'un circuit - il - 2706153 interrupteur 48 et d'un limiteur/disjoncteur de courant 47, et le signal qu'il délivre en sortie est envoyé au coeur numérique 20 pour pouvoir être contrôlée, au travers d'un autre circuit d'isolation galvanique 51. Le relais 49 permet de sélectionner la commande à envoyer au moteur du vérin série 2 entre celle qui est issue de l'amplificateur 46 et une autre commande 52 délivrée par le dispositif de recentrage du vérin série, représenté sur la figure 8, et situé soit dans le même module de calcul 10, soit dans un autre module du calculateur. Le circuit de la figure 5, fait également partie du circuit de commande de puissance 24, tout en étant complètement indépendant du circuit décrit précédemment. Il permet de générer la commande de recentrage d'un vérin série 2. A cet effet, il reçoit en entrée, au travers d'un circuit d'adaptation 61, la valeur de la position de cet autre vérin série 2. Cette valeur de position est placée à l'entrée d'un compa- rateur à seuils 60 qui la compare à la position neutre. Le résultat de cette comparaison est traité par un autre amplificateur de puissance à pont en H 62, avant d'être envoyé d'une part, au relais 49, décrit précédemment (figure 4), et d'autre part vers le coeur numérique 20 au travers d'un circuit d'isolation galvanique 68. Cet amplificateur de puissance 62 est également alimenté en 28 volts 66 par l'intermédiaire d'un interrupteur 64 et d'un abaisseur de tension 63 qui permet de limiter la vitesse de recentrage du vérin série 2. Ces deux circuits (figures 4 et 5) permettent ainsi, à la fois d'assurer la commande d'un vérin série en fonction de consignes élaborées par le coeur numérique 24, et de commander le recentrage automatique du vérin série en cas de détection d'une incohérence. Par ailleurs, le recentrage peut être activé manuellement à tout instant par la commande de basculement 55 du relais - 12 - 2706153 49, la commande de recentrage étant, par ailleurs, conti- nuellement élaborée par l'autre module. En outre, les amplificateurs de puissance à pont en H 46 et 62 utilisés dans les circuits de commande (figure 4) et de recentrage (figure 5) peuvent être inhibés manuellement soit directement par l'intermédiaire des entrées 56 et 69, soit en envoyant un signal 53 et 65 pour actionner l'inter- rupteur de coupure d'alimentation. La figure 6 représente le circuit de commande de puissance du moteur du vérin de "trim" 3, qui fait également partie du circuit de commande de puissance 24. Ce circuit reçoit en entrée, d'une part les commandes impulsionnelles élabo- rées par le coeur numérique qui fournissent le sens et la vitesse de rotation du vérin de "trim" 3, et d'autre part, des commandes logiques élaborées par un dispositif matériel 71, qui indiquent le sens de rotation du vérin de "trim". Ce dispositif 71 élabore ces commandes de sens à l'aide d'un comparateur à seuils, directement à partir de la posi- tion du vérin série 2 associé, auquel il est connecté. La position du vérin série 2 est ainsi comparée à zéro pour délivrer en sortie un signal logique représentatif du signe de la position du vérin série, relativement à une position centrale. Il convient ici de préciser que le dispositif 71 est com- plètement indépendant du coeur numérique. Par ailleurs, il est connecté à un capteur de position du vérin série (2) indépendant de celui qui est utilisé dans l'élaboration de la commande de puissance de ce vérin. Les commandes impulsionnelles et logiques sont envoyées, au travers d'un étage d'adaptation 70 et d'un étage d'isolation galvanique 72, à un amplificateur à pont en H 73. Une fois amplifiées, ces commandes attaquent le moteur du vérin de "trim" par l'intermédiaire d'un filtre en L 76, et - 13 - 2706153 sont envoyées au coeur numérique 20 par l'intermédiaire d'un circuit d'isolation galvanique 77. L'amplificateur de puissance est alimenté en 28 volts 79 de manière indépendante du reste du circuit de commande de puissance 24, par l'intermédiaire d'un interrupteur 75 et d'un limiteur/disjoncteur de courant 74. La commande du vérin de "trim" est ainsi sécurisée de plusieurs manières. Tout d'abord, l'amplificateur de puissance 73 est conçu de manière à ne délivrer un signal de commande du vérin de "trim" que si les commandes de sens élaborées d'une part par le coeur numérique 20 et d'autre part, par le disposi- tif matériel 71, indiquent le même sens. Si les sens de déroulement indiqués par ces commandes sont différents, le moteur de "trim" n'est pas commandé et reste donc bloqué. Ce moteur peut aussi être bloqué en coupant l'alimentation de l'amplificateur de puissance 73 par l'intermédiaire de l'interrupteur 75 commandé par le signal 80, ou en activant la commande d'inhibition 78 de l'amplificateur. De plus, les commandes de puissance sont isolées galvani- quement par l'étage 77, et sont envoyées au coeur numérique qui peut alors vérifier que les commandes ainsi générées sont cohérentes avec la position du vérin série. Grâce à ces dispositions, le circuit de commande de puissance comme représenté figure 6 est complètement indépendant du reste du circuit de commande de puissance 24. Ainsi, une panne du coeur numérique 20 ou du circuit de commande de puissance du vérin série 2 entraîne systémati- quement le blocage du "trim". L'architecture matérielle et logicielle présentée précé- demment permet d'adapter très finement le dispositif de pilotage automatique aux caractéristiques de vol de chaque hélicoptère et à la mission à laquelle ce dernier est destiné. - 14 - 2706153 Ainsi, la figure 7 montre une configuration de calculateur 1 qui permet d'obtenir un dispositif de pilotage automa- tique sur un seul axe de pilotage, par exemple l'axe de lacet. Pour cela, il suffit que le calculateur 1 comprenne un seul module loa, relié d'une part, à son propre ensemble de capteurs 4, et d'autre part, à ses propres actionneurs 2a,3a. Comme décrit précédemment, le module 10a comprend notamment une fonction de commande 16 du vérin série 2a, une fonction de commande 18 du vérin de "trim" 3a, et un coeur numérique recevant notamment les informations en provenance des capteurs 4. Le vérin série 2a présente la particularité d'être très rapide, et en cas de défaillance de la chaîne de commande, il peut se bloquer presque instantanément en butée. Bien entendu, le pilote a toujours la possibilité de reprendre manuellement le contrôle de l'hélicoptère, mais dans le cas de certains types d'hélicoptères, le temps de réaction qui sera exigé du pilote sera trop faible pour rétablir le contrôle de l'appareil en toute sécurité. Dans le but de supprimer cet inconvénient, le module loa comprend la fonction de surveillance et de recentrage 17, dont la partie commande de puissance est représentée sur la figure 5. Cette fonction de surveillance est conçue pour comparer la commande issue de l'amplificateur de puissance 46 et de l'étage d'isolation galvanique 51 à la consigne élaborée par le coeur numérique 20. Si ces deux valeurs ne sont pas cohérentes, la fonction de surveillance 17 active le recentrage automatique du vérin série 2a en commandant le basculement du relais 49, et désactive le module 10a qui est alors considéré défaillant. Sur la figure 8, le calculateur 1 comprend trois modules de calcul 0la, 10b,10c qui sont reliés d'un côté à un ensemble de capteurs 4 et au poste de commande de l'hélicoptère. Ils - 15 - 2706153 permettent de commander directement les vérins série 2a,2b,2c et de "trim" 3a,3b,3c des trois axes de pilotage, tangage, roulis et lacet, en fonction des informations en provenance de l'ensemble de capteurs 4 et du poste de commande. Chaque module 10a,lOb,1Oc comprend notamment une fonction de commande 16 du vérin série 2a,2b,2c, une fonction de commande 18 du vérin de "trim" 3a,3b,3c, une fonction de sélection 19 des données en provenance de l'ensemble des capteurs 4, relatives à l'axe selon lequel il assure le pilotage, et une fonction 17 de surveillance et de recen- trage d'un vérin série. Les modules 10a et lob dédiés respectivement aux axes de tangage et de roulis, par exemple, peuvent être intercon- nectés grâce au connecteur extérieur 5 de manière à permettre un contrôle réciproque des chaînes de commande des vérins série 2a,2b. A cet effet, le circuit de commande de recentrage du module 10a est connecté au capteur de position du vérin série 2b de l'autre module lob, et la fonction de surveillance du module o10a peut agir sur le relai 49 du module lob. De son côté la fonction de surveil- lance et de recentrage du module lob est connectée de la même manière au module 10oa et au vérin série 2a qu'il commande. La fonction de surveillance intégrée au coeur numérique 20 de chaque module 10a,10b est conçue pour traiter les données en provenance des capteurs situés sur l'autre axe. Ainsi, les modules 10a,10b dédiés aux axes de tangage et de roulis sont connectés au même ensemble de capteurs 4. De cette manière, la fonction de sélection 19 des capteurs 4 sélectionne les données en provenance des capteurs placés sur l'autre axe pour les envoyer à la fonction de surveillance 17. Celle-ci élabore ensuite la consigne de commande du vérin série 2b,2a de l'autre chaine et la compare avec la valeur de la commande de puissance envoyée au vérin série 2b,2a de l'autre module. Si ces deux valeurs sont incohérentes, la fonction de surveillance 17 - 16 - 2706153 interrompt le processus de pilotage automatique des vérins 2a,3a, et commande le basculement du relais 49 du second module lob par la commande 55 pour envoyer au second vérin série 2b, les commandes de recentrage élaborées par le premier module 1oa, à l'aide de la valeur de la position du second vérin série 2b. Comme le processus de pilotage du vérin 2a est interrompu, le coeur numérique 20 du second module 2b qui surveille le premier module 2a va détecter de la même façon une incohé- rence, ce qui a pour effet d'interrompre le processus de pilotage automatique des vérins 2b,3b, et de déclencher le basculement du relais 49 du premier module 2a pour recen- trer le premier vérin 2a Par ailleurs, le module 2c est connecté indépendamment des deux autres modules 2a,2b, à ses propres actionneurs 2c,3c. Il en résulte que la fonction de surveillance et de recen- trage 17 de ce module loc n'est pas active. Lorsque les contraintes de sécurité requises par le type et la mission de l'hélicoptère sont très sévères, il est possible de doubler toutes les chaînes de contrôle des axes de pilotage, afin d'éviter que l'un des axes de pilotage ne soit plus contrôlé pour cause de panne (figure 9). Selon cette configuration, le dispositif comprend donc un deuxième calculateur 40 configuré de la même manière que le calculateur 1, un autre ensemble 42 de capteurs, ainsi qu'un autre vérin série 41 placé en série avec le vérin 2, sur chaque axe de pilotage. Il est à noter que le rôle des vérins de "trim" 3 est secondaire par rapport à celui des vérins série 2, c'est pourquoi il n'est pas nécessaire de les doubler. De cette manière, les deux chaînes de commande d'un axe actionnent les mêmes gouvernes, et si l'une de ces deux chaînes est défaillante, l'autre continuera à actionner les gouvernes. - 17 - 2706153 Bien entendu, une solution intermédiaire est possible. Ainsi, sur la figure 10, le deuxième calculateur 40 ne comprend que deux modules qui sont respectivement dédiés à l'axe de tangage et à l'axe de roulis. Cette configuration5 procure une grande sécurité suivant ces deux axes, et une sécurité minimale suivant l'axe de lacet dont la chaîne de contrôle n'est pas doublée. - 18 - 2706153 REVENDICATIONS 1. Dispositif de pilotage automatique d'un aérodyne faisant intervenir au moins un calculateur numérique recevant des informations émanant d'un ensemble de capteurs et assurant la commande d'actionneurs agissant sur les gouvernes, caractérisé en ce que le calculateur (1) comprend des moyens autonomes (17) pour surveiller son bon fonctionnement, pour déconnecter le dispositif et pour recentrer les actionneurs (2), à la suite d'une détection d'anomalie. 2. Dispositif selon la revendication 1, caractérisé en ce que le calculateur (1) comprend au moins un module de calcul (10) autonome disposant de ressources matérielles et logicielles qui comprennent des moyens (16,18) pour assurer le pilotage selon l'un quelconque des trois axes de pilotage, et des moyens (17) pour surveiller son bon fonctionnement, pour se déconnecter et recentrer les actionneurs, à la suite d'une détection d'anomalie. 3. Dispositif selon la revendication 1, caractérisé en ce que le calculateur (1) comprend au moins deux modules (10a,10b) autonomes disposant de ressources matérielles et logicielles qui comprennent des moyens (16,18) pour assurer le pilotage selon deux axes quelconques des trois axes de pilotage, l'un (10a) au moins des deux modules (10a,10b) étant connecté aux capteurs (4)30 et aux actionneurs (2b) du second module (0lob), et comprenant des moyens pour surveiller le bon fonctionnement de l'autre module (2b), pour le déconnecter et recentrer les actionneurs (2b) commandés par l'autre module (0lob), à la suite d'une détection d'anomalie. 4. Dispositif selon la revendication 3, caractérisé en ce que les deux modules (10a,10b) sont identiques, et sont chacun connectés aux capteurs (4) et - 19 - 2706153 aux actionneurs (2a,2b) de l'autre module (10b,10a) de manière à surveiller le bon fonctionnement de ce dernier, à le déconnecter et à recentrer les actionneurs (2b,2a) commandés par l'autre module (lOb,lOa), à la suite d'une détection d'anomalie, chaque module (10a,10b) comprenant des moyens de reconnaissance des deux axes de pilotage selon lesquels ils doivent assurer respectivement le pilotage et la surveillance et pour se rendre spécifique de ces deux axes. 5. Dispositif selon l'une des revendications 2 à 4, caractérisé en ce que les actionneurs (2a,3a) correspondant à chaque axe de pilotage comportent un vérin série (2a) et d'un vérin de "trim" (3a) qui permet de recentrer la position du vérin série (2a), et en ce que chaque module comprend une fonction de commande du vérin série (16), une fonction de commande du vérin de "trim" (18), et une fonction de surveillance et de recentrage (17) d'un vérin série (2a ou 2b). 6. Dispositif selon l'une des revendications 2 à , caractérisé en ce que chaque module de calcul (10) comprend: - un coeur numérique 20 comportant un microprocesseur commandé par un logiciel identique quelque soit les axes selon lesquels il doit assurer le pilotage et la surveillance, - un circuit de commande de puissance (24) qui lui permet de commander directement les actionneurs (2,3) d'un axe de pilotage, - un circuit d'alimentation (21), - un circuit de gestion des entrées et sorties (23), et - un circuit de filtrage et de protection contre les effets de la foudre et des rayonnements électromagnétiques (22). 7. Dispositif selon la revendication 6, - 20 - 2706153 caractérisé en ce que le circuit de commande de puissance (24) comprend des moyens pour élaborer les commandes de puissance du vérin série (respectivement 2a,2b) et du vérin de "trim" (respectivement 3a,3b) correspondant à l'axe selon lequel il assure le pilotage, à partir de consignes calculées par le coeur numérique (20) à l'aide des lois de pilotage concernant ledit axe, et à partir de la valeur de la position du vérin série (respectivement 2a,2b). 8. Dispositif selon l'une des revendications 6 et 7, caractérisé en ce que le coeur numérique (20) de l'un (O10a) quelconque des deux modules de calcul (10a,10b) comprend des moyens pour élaborer la commande à appliquer au vérin série (2b) commandé par l'autre module (0lob), pour la comparer avec celle qui est appliquée par ce dernier (0lob), et, lorsque ces deux commandes sont incohérentes, pour interrompre le processus de pilotage automatique, et déclencher le recentrage du vérin série (2b) commandé par l'autre module (0lob). 9. Dispositif selon l'une des revendications 6 à 8, caractérisé en ce que le circuit de commande de puissance (24), commandant un premier vérin série (2a), comprend d'une part, un circuit qui élabore en permanence la commande de recentrage d'un second vérin série (2b), et d'autre part, un relais (49) permettant d'appliquer au premier vérin série (2a), soit la commande qu'il a élabo- rée, soit la commande de recentrage élaborée par un autre module (0lob). 10. Dispositif selon la revendication 9, caractérisé en ce que le relais (49) de l'un (10a) quelconque des deux modules de calcul (10a,10b) est commandé par l'autre module de calcul (10b) qui effectue la surveillance du premier module (10a). - 21 - 2706153 11. Dispositif selon l'une des revendications 4 à , caractérisé en ce que les modules (10a,10b) sont intercon- nectés par leurs connecteurs (5) respectifs pour assurer leur surveillance réciproque et le recentrage des vérins série (2a,2b). 12. Dispositif selon l'une des revendications 2 à 11, caractérisé en ce qu'il comprend des moyens (6) pour définir un code d'identification propre à chaque axe de pilotage, chaque module (10a,10b, 10c) comprenant des moyens de lecture de ce code d'identification, afin de s'auto- configurer en fonction de l'axe selon lequel il doit assurer le pilotage, et celui qu'il doit surveiller. 13. Dispositif selon l'une des revendications 4 à 12, caractérisé en ce qu'il comprend deux calculateurs (1,40) identiques comprenant chacun au moins deux modules de calcul (10) assurant le pilotage selon respectivement deux axes, le pilotage selon chaque axe étant simultanément assuré par deux modules (10) appartenant respectivement aux deux calculateurs (1,40), et qui commandent un vérin de trim (3) et respectivement, deux vérins série (2,41) montés en série, à partir d'informations issues de deux ensembles de capteurs (37,42) respectifs.